Articolul 82 GDPR dă oricărei persoane care a suferit un prejudiciu material sau moral, în urma unei încălcări a regulamentului, dreptul la despăgubiri din partea operatorului sau a persoanei împuternicite. E riscul „civil" al neconformității — separat și cumulativ cu amenzile administrative de la Articolul 83.
Ce prevede articolul?
Operatorul implicat într-o prelucrare răspunde pentru prejudiciul cauzat de o prelucrare care încalcă GDPR. Persoana împuternicită răspunde doar dacă nu și-a respectat obligațiile specifice din regulament sau a acționat contrar instrucțiunilor legale ale operatorului. Oricare dintre ei este exonerat dacă dovedește că nu e responsabil în niciun fel de evenimentul care a cauzat prejudiciul. Când mai mulți operatori sau împuterniciți sunt implicați în aceeași prelucrare, fiecare răspunde pentru întregul prejudiciu (răspundere solidară), pentru a asigura despăgubirea efectivă a persoanei — cel care plătește integral poate ulterior recupera de la ceilalți partea corespunzătoare vinei lor. Acțiunile în despăgubire se depun la instanțele competente conform regulilor de competență din GDPR, de regulă instanța din statul membru unde persoana vizată își are reședința obișnuită.
Ce înseamnă în practică pentru o firmă?
Important: prejudiciul moral (stres, anxietate, disconfort) e suficient pentru o cerere de despăgubiri — nu e nevoie de o pierdere financiară dovedită. Asta înseamnă că o breșă de date sau o prelucrare neconformă poate genera cereri civile din partea persoanelor afectate, indiferent de eventuala amendă de la ANSPDCP; cele două tipuri de răspundere sunt independente. Contractele cu furnizorii (împuterniciții) ar trebui să conțină clauze clare de alocare a răspunderii și, ideal, de despăgubire reciprocă, pentru a evita situația în care firma suportă integral costul unei greșeli a furnizorului.
Diferența dintre răspunderea operatorului și cea a persoanei împuternicite contează mult în practică: operatorul răspunde practic pentru orice prelucrare neconformă legată de datele sale, indiferent unde s-a produs greșeala tehnică, în timp ce împuternicitul răspunde doar dacă a încălcat propriile obligații din regulament sau a acționat contrar instrucțiunilor primite. De aceea, alegerea unui furnizor cu garanții solide de securitate — verificate, nu doar promise — rămâne responsabilitatea directă a operatorului.
Exemplu concret
O breșă de securitate expune parolele și adresele de e-mail ale clienților unui magazin online. Chiar dacă niciun client nu suferă o pierdere financiară directă, unii pot cere despăgubiri pentru stresul și riscul la care au fost expuși — instanțele europene, inclusiv din România, au recunoscut astfel de cereri pentru prejudiciu moral, chiar în absența unei pierderi materiale concrete.
Greșeli frecvente
- Considerarea amenzii ANSPDCP ca „singurul" risc financiar al unei încălcări — cererile civile sunt separate și se pot cumula.
- Contracte cu furnizorii fără clauze clare de răspundere pentru încălcări GDPR.
- Lipsa unei asigurări sau a unui plan financiar pentru riscul de despăgubiri civile.
- Subestimarea riscului de acțiuni colective, tot mai frecvente în cazul breșelor care afectează mulți clienți deodată.
Cum te aperi împotriva unei cereri de despăgubiri?
Singura apărare recunoscută expres de Art. 82 e să dovedești că nu ești în niciun fel responsabil pentru evenimentul care a cauzat prejudiciul — practic, că ai luat toate măsurile rezonabile de conformitate și securitate, iar incidentul nu se datorează unei neglijențe de-a ta. De aceea, documentația de conformitate (registru de evidență, politici de securitate, DPIA, contracte de împuternicire) nu servește doar la un control ANSPDCP, ci devine și dovada principală într-un eventual litigiu civil.
Se leagă de notificarea breșelor și de contractele cu împuterniciții. Vezi și ghidul GDPR. Vrei să reduci riscul de despăgubiri civile? Cere o evaluare.
Întrebări frecvente
Poate o persoană cere despăgubiri chiar dacă nu a pierdut bani?
Da — prejudiciul moral (stres, disconfort, anxietate) e suficient pentru o cerere de despăgubiri conform Art. 82, fără să fie nevoie de o pierdere financiară dovedită.
Amenda ANSPDCP și despăgubirile civile se pot cumula?
Da — sunt mecanisme separate. O firmă poate primi o amendă administrativă și, în plus, poate fi obligată să plătească despăgubiri persoanelor afectate care au dat-o în judecată.